Целостность POST-запроса

хм, если работает с браузером, то проверить наверно можно будет каким-нить JS токо и то, если запрос был сохранен скажем в кукисах ...

ну так, в том и идея, что JS-ом считать контрольную сумму, а потом ее на сервере проверять. Ну уж больно через задницу. А SSL не гарантирует то, что данные дойдут в целости?

Нужно что-то вроде транзакции в базах данных. Либо происходит полностью, либо вообще не происходит.

> А SSL не гарантирует то, что данные дойдут в целости?

Вообще - это одна из его задач.

а что у TCP пакета тоже нет контрольной суммы?

ну POST запросы не лучший выход в этой ситуации ...

А другого выхода нет :(

ssl достаточно.

ну тогда делай хэш и посылай с хэшом хэша запроса ...

HTTP обычно реализуется поверх TCP, а последний гарантирует целостность данных. Если совсем паранойя замучила, CRC32 можно попробовать посчитать жаваскриптом (если конечно это не файл аплоадится).

HTTP + TCP гарантинует 100% целосность данных

если не верите - почитайте как работает TCP и HTTP

>HTTP + TCP гарантинует 100% целосность данных

Не гарантирует.

Подмена пакета там например :)

Если не сложно, дайте ссылку на авторитетный источник, нужно начальство убедить.

учимся пользоваться g: g http rfc -> i'm feeling lucky -> http://www.w3.org/Protocols/rfc2616/rfc2616.html

Да я сам знаю и понимаю почему, а вот начальник рфц читать вряд ли будет. :(

> Подмена пакета там например :)

такую штуку можно было провернуть в далеких 80х. сейчас даже у чайников утюгов и пылесосов TCP реализован так что хрен подменишь. (насчет того нормально ли реализован TCP в винде - не уверен) если уж совсем-совсем замучала параноя (или сервер работает на винде) можете юзать https. SSL дает 250% гарантию целостности данных

http://bugtraq.ru/library/books/attack/chapter04/05.html

вот тебе ссылка, что просто TCP + HTTP недостаточно.

плюс: HTTP -- протокол без сохранения состояния, то есть сессии в нём надо реализовывать дополнительными заголовоками или куками. То есть, их можно подменить. Что было бы сложно сделать, если бы session id нигде не присутствовал на в протоколе/на клиент, а был бы только на стороне сервера.

плюс: SSL тебе даст цифровые сертификаты - подписи транзакции.

в опере отсылаешь запрос и нажимаешь ESC ... все, передастся кусок, хотя не знаю как счас обстоят дела ...

ты б еще предложил патчкорд топором перерубить

> Не гарантирует. Подмена пакета там например :)

так, не надо сравнивать мягкое с теплым. тут говорилось о целостности POST запроса (контр.сумма, например в tcp), а не о том каким способами его подменить можно (аутентификация+авторизация).

если надо и то и то, используйте SSL как уже говорилось.

> ты б еще предложил патчкорд топором перерубить

Эффект бабушки (уборщицы) тоже никто не отменял.

> ты б еще предложил патчкорд топором перерубить

не успеешь )

а спецификацию tcp/ip и http мы конечно же не осилили... или на гугле забанили?

это называется MID и это не для кого не ново. не понял к чему вспомнил про сессии? пердеж в лужу? тогда понятно..

насчет SSL было сразу сказано что если мучает параноя - юзайте SSL